车辆网络安全详解

　　在不久的将来大多数新车辆将会配备进程的收音机使其有能力与至少在1公里距离的其他车辆和公路设施进行通信。这种收音机将会彻底改变传统的驾驶习惯，它可以立即提供周围的所有事情，更新局部交通状况，当前面的车突然刹车时发出警告信号。而且有一些方面与一些类似传统的传感器和在一些特定网络有一些类似，对车载网络构成独特的挑战。例如,通过车载网络传递的信息可能影响生死攸关的决定,使故障安全安全是必要的。然而,为车载网络提供强大的安全的重要性，而导致的隐私问题,也必须加以考虑。为应对这些挑战,我们提出一套安全原语,可以用作构建块的安全的应用程序。车载网络的部署在迅速向人们走来,他们的成功和安全将取决于可行的安全解决方案使消费者、制造商和政府都可以接受。

　　增加短程无线电于车辆和公路基础设施之间有可能显著增强驾驶体验,提供更高的安全性和便利性。从安全的角度来看,一辆车突然减速,通知其他司机可以减少车辆追尾造成的交通事故,甚至可完全阻止事故的发生。共享位置信息可以消除传统的盲点，帮助司机在车道变化或合并时可能阻止成千上万的事故。在一年内仅在美国由于车道变化和合并引起的碰撞就超过630000起。【6】

　　来自公共和私营部门的力量的融合表明,在不久的将来我们可能会看到诞生的车载网络。1999年,美国联邦通信委员会(FCC)分配应用程序一块5.850GHz到5.925GHz带宽频谱，主要是为了提高我们的高速公路系统的安全性和效率【8】。因为FCC会毫不犹豫地回收未使用的频谱,因此汽车制造商面临着非常现实的压力利用这一分配。事实上 ,奥迪、

　　宝马、戴姆勒-克莱斯勒、菲亚特,雷诺和大众联合创建了Car2Car交流协会,一个组织致力于开发对新兴的无线】。该财团预计完成原型2006年3月参与实地试验。因为大部分车联网应用程序的开发的动力来自汽车制造商,我们需要用特定方式开发安全技术在分布式操作。这种方法将加速部署,因为它允许制造商在不需要部署额外的基础设施或偏离其核心商业模式将这些技术应用。

　　确保车辆的安全网络,我们从一开始就必须包括安全注意事项。这些应用程序使他们的效用目标对所有形式的攻击者,因为许多应用程序会影响生死攸关的决定,非法篡改可能带来毁灭性的后果。

　　在本文中,我们将重点关注两个潜在的车载网络应用程序为了讨论一个具体的设置。首先,我们将考虑交通拥堵检测应用程序旨在提醒司机潜在的交通堵塞,提供便利和效率增加。在这个应用程序中,车辆检测当相邻车辆的数量超过一定限制(和/或他们的平均速度低于给定的阈值),然后传递数到车辆。

　　我们的第二个应用程序是一个减速预警系统。一些最严重的交通事故涉及到几十甚至上百辆小轿车追尾后侧翻对方在队伍的最前面 ,一个

　　事故后突然停止交通。在这个应用程序中,如果车辆会大大降低它的速度,1将广播一个警告,连同它的当前位置和速度,其他车辆。接受者将消息传递给车辆落后,和任何车辆直接在车后面。

　　贡献：在本文中,我们(1)分析了特定于车载网络安全挑战;(2)引入安全应用程序的基本类型;(3)讨论车辆属性,可以支持安全系统;(4)存在两个安全技术,纠缠和reanonymizers,利用独特的车辆性能。

　　车载网络的挑战不仅包括技术问题如密钥分发而且有抽象的困难,如需要同时吸引三个截然不同的市场。

　　身份验证和隐私：在车载网络,我们希望每个驱动程序绑定到一个身份阻止恶作剧[7]或其他欺骗攻击。例如,拥塞避免机制,我们想阻止一个汽车声称是为了创造数百拥挤的道路的假象。强认证还提供了有价值GPK电子的适于法庭的证据和允许我们使用外部机制,如传统的执法,以阻止或防止对车载网络的攻击。

　　然而,司机值他们的隐私和不太可能采取系统,要求他们放弃自己的匿名性。举个例子,如果我们试图防止欺骗的方式揭示了每辆车的永 久身份, 然后我们司机可能违反隐私的期望。平衡隐私和安全需求需要 编纂法律、社会和实际问题。

　　大多数国家都大相径庭的法律关于公民的隐私权。 因为大多数汽车 制造商在跨国经营市场 ,他们将需要安全解决方案 , 满足最严格的隐私 法, 或者可以定制来满足他们在每个市场的法律义务。身份验证方案还 必须权衡社会期望对实际考虑的隐私。

　　大多数司机会憎恨这样一个系统 , 允许别人来跟踪他们的动作 , 但 从实用的角度来看 , 汽车现在只是部分匿名。每辆车有一个公开显示车 牌,惟一地标识它 (和识别汽车的所有者 ,得到适当的记录 )。因此,个别 司机已经开车时投降了一部分他们的隐私。理想情况下 , 一个安全的车 辆网络将建立在这些现有的妥协 , 而不是侵犯任何进一步的司机的隐私 权。

　　实用性： 对于许多应用程序 , 车载网络需要实时或接近实时的响应 以及实时保证。有些应用程序可能容忍一些空间响应时间 , 他们都将通 常需要比预期更快的响应在传统的传感器网络中 ,甚至特设网络。 然而, 试图满足实时的要求通常使应用程序容易受到拒绝服务 (DoS) 攻击

　　[25] 。减速的应用程序 , 甚至秒的延迟可能导致呈现的消息毫无意义。 问题是进一步加剧了不可靠的通信层 , 因为一个潜在的方法来处理不可 靠传输是将部分信息存储在希望第二传输完成消息。

　　目前的计划为车载网络依赖新兴标准的专用短程通信 (DSRC)[2], 基于 IEEE 802.11 的扩展技术[1] 。殷等人提供一个详细的、低级的性 能评价模拟 DSRC网络和发现 , 尽管目前的 DSRC标准提供了一个可接受 的延迟,仍缺乏可靠性 [22] 。根据他们的模拟 , 平均只有 50 - 60%的车辆 的邻车将会收到一个广播。

　　对错误地低容忍度： 许多应用程序使用协议 , 依靠概率计划来提供 安全保障。然而, 考虑到许多的生死攸关的性质提出车辆应用程序 ,甚至 是一个小概率的错误将是不可接受的。事实上 , 自从美国运输统计局估 计 , 在美国有超过 2 亿辆汽车 [21], 即使只有 5%的车辆使用的应用程序 功能正确 99.99999%的情况下 , 应用程序仍可能失败在至少一个车辆超 过正常工作在所有的车辆。 因此,要为这些场景提供必要的保障水平 , 应 用程序将不得不依赖确定性方案或概率方案与安全标准。

　　此外, 对于许多应用程序 ,安全必须专注于预防攻击 ,而不是检测和 恢复。在一个特设网络 ,可能足以检测攻击和提醒用户 , 离开人类恢复和 清理。然而 ,在许多安全相关的车载网络应用程序 ,发现不足 ,由于司机 的时候能反应 ,警告可能已经太迟了。 相反, 安全必须首先将重点放在了 防止攻击,这就需要精确 [21] 。

　　机动性： 传统传感器网络通常假定一个相对静态网络 , 甚至特设网 络通常假设有限的流动性 , 通常专注于手持掌上电脑和笔记本电脑由用 户。车载网络 ,移动是很正常的 ,它将以英里 ,不是米,每小时。同时 ,车

　　辆的流动模式相同的路上会表现出很强的相关性。 每个车辆都有一组不 断变化的邻居 , 他们中的许多人从未与之前打过交道 , 不太可能再次进 行交互。车载网络交互的暂时的性质将限制基于声誉的实用方案。 例如 , 评级其他车辆基于拥塞报告的可靠性也不太可能是有用的 , 一个特定的

　　驱动程序不太可能得到多个报告相同的车辆。此外 , 由于两辆车只能在 通信范围内的秒 , 我们不能依靠协议需要大量发送方和接收方之间的交 互 [17] 。

　　秘钥分配： 密钥分发通常是一个安全协议的基本构建块。在车载网 络、分布提出了几个重要的挑战。首先 , 汽车是由许多不同的公司生产 的, 所以在工厂安装密钥需要协调和制造商之间的互操作性。如果制造 商无法或不愿同意密钥分发标准 , 那么我们可能会用政府所有的方式分 布。不幸的是 , 在美国 , 大多数运输监管发生在州一级 , 再复杂的协调 [11] 。联邦政府可以征收标准 , 但这样做会需要大量的车辆登记、修改 当前的基础设施 , 因此不太可能在不久的将来发生。 然而, 没有密钥分发 系统,应用程序 (如交通拥堵检测可能容易受到欺骗。

　　潜在的安全密钥分发方法将授权的机动车辆管理部门 (DMV)采取一 个证书颁发机构 (CA)的作用,保证每辆车的公钥。 不幸的是, 这种方法有 许多缺点。首先,假设 CA是一项具有挑战性的角色操作不符合 DMV的当 前功能。广泛的坊间证据 [16] 表明, 甚至专门 CAs提供可疑的安全对另 一个机构专门攻击者试图获得一个证书 /实体。第二, 车辆从不同的国家 或不同的国家可能无法互相验证 ,除非车辆所有 ca信任, 从而降低安全。 最后 , 基于证书的关键机构违反的危险司机隐私 , 作为车辆的身份透露 在每个键。

　　奖励措施： 车载网络的成功部署需要鼓励汽车制造商 , 消费者 , 政府, 以及协调他们的经常互相冲突的利益将是具有挑战性的。 例如, 执 法

　　机构将很快接受的系统限速标识的广播要求速度和车辆自动报告任何 违规行为。显然 , 消费者会拒绝这样的侵入性监测、给汽车制造商带来 一点刺激,包括这样一个功能。 相反, 消费者可能欣赏的应用程序提供了 一个早期预警的警察速度陷阱。厂商可能愿意满足这种需求 , 但执法对 象会拒绝 [20] 。

　　引导程序： 最初, 只有一小部分车辆将配备 DSRC收音机和小基础设 施将存在支持他们。 因此,在车载网络开发应用程序 , 我们只能假设几个 其他车辆能够收到我们的通讯 , 和应用程序必须提供好处甚至在这些有 限的条件下 ( 随着安装 DSRC的车辆数越来越多好处也越来越明显 )[13]

　　自然和资源的对手将在很大程度上决定防御的范围需要安全的车 辆网络。车载环境的现实的评估表明下列类型的敌人 （ 威胁程度递增的 顺序）:

　　贪婪的司机： 我们可能希望系统中的大多数司机可以信任遵循协议 指定的应用程序中 , 有些司机将试图最大化自己的收益 , 无论系统的成 本。在我们的拥塞避免系统中 , 一个贪婪的司机可能会试图说服周边车 辆 , 有相当大的拥堵 , 这样他们会选择替代路线 , 让贪婪的司机一条清晰 的路径到他 /她的目标 [15] 。

　　私家侦探： 这一类的对手包括从一个爱管闲事的邻居到政府机构试 图配置文件驱动程序。窃贼可能会试图使用车载网络检测车库 （ 因此这

　　房子）是空的 [7] 。公司可能希望跟踪消费者的购买习惯和使用相关数据 来改变价格和折扣。虽然数据挖掘可能接受的聚合数据 , 它引起严重的 隐私问题如果可以提取 indivi 识别信息。

　　恶作剧着： 恶作剧者包括无聊青少年探索寻求名声的漏洞 , 黑客通 过他们的功绩。例如 , 一个爱开玩笑的人针对碰撞或应用程序可能连坐 在路边,说服一个车慢下来 , 说服其背后的车辆加速 [9] 。需要实时反应 可能使安全机制容易受到 DoS攻击。顽皮的人可能会滥用这种脆弱性禁 用应用程序或防止关键信息。

　　业内人士： 由内部人士尤其阴险的袭击 , 车载网络脆弱的程度将取 决于其他安全设计决策。 例如,如果车辆力学可以更新软件 , 他们也有机 会来加载恶意程序 [10] 。如果我们允许汽车制造商分发密钥 , 那么一个 流氓员工在一个制造商可以创建秘钥使其可接受所有其他车辆得到。

　　恶意的攻击者： 恶意攻击者故意试图通过车载网络上可用应用程序 造成伤害。 他们可能是个体试图解决分数或恐怖分子攻击我们的基础设 施。在许多情况下 ,这些攻击者将有特定的目标 , 他们将获得更多的资源 比上述攻击者。 恐怖分子可能操纵减速预警系统创建僵局之前引爆一枚 炸弹。罪犯可能会恶搞拥塞避免应用程序方便出游 [6] 。一般来说 ,这类

　　攻击者希望将少比上面列出 , 他们的资源和指导恶意让他们任何安全系 统的一个重要问题 [38] 。

　　虽然我们显然不能预测所有可能的攻击车辆的网络 , 我们可以列举 一些可能的场景 , 并确保应用程序健壮的这组已知的潜在攻击 [8] 。虽然 许多这些攻击已经出现在其他的环境中 , 我们在这里列出来的彻底性和 检查影响他们可能在这个新的环境 [46] 。

　　拒绝服务（ DoS）：如果攻击者可以压倒一个车辆的资源或堵塞车辆 使用的通信通道网络 , 那么他可以防止关键信息到达。这不仅使应用程 序毫无用处 , 它可以增加危险司机如果她已经依赖于应用程序的信息。 例如, 如果恶意对手想要创建一个大规模堆积在高速公路上 , 他可能会 引发一场事故 , 然后使用 DoS攻击防止适当减速警告其他司机 [39] 。

　　消息抑制攻击： 在一个更微妙的攻击 , 对手可能会使用一个或多个 车辆发动镇压攻击的选择性丢包的网络。 顽皮的人可能会抑制拥挤警报 之前选择了另一条路 , 因此让后续车辆陷入交通堵塞 [33] 。

　　制造恐怖袭击： 一个对手可以发起一个制造攻击通过向网络广播虚 假信息。例如，一个贪婪的司机会冒充一个紧急车辆来加速自己的行程。 攻击者也可以选择自己制作信息，包括他的身份，位置或者其他的特定 应运参数 [50] 。防御制造袭击车辆网络是特别具有挑战性的 , 因为传统 的补救措施使用强大的身份和密码身份验证可能的冲突需要网络中保 护参与者的隐私。

　　改变攻击： 一个特别危险的攻击在车载网络是改变现有的数据。这 包括故意延迟信息的传播 , 重演之前传输在传输或改变单个条目 [3] ， [45] ，[43] 。

　　通过上面对车辆通信安全性和个人隐私安全性的介绍，使我们对 保护个人信息安全和合理监督之间的关系有了进一步的理解， 督促我们 去找到一个兼顾个人隐私和网络监督的新方法， 尽量使各个方面的利益 得到合理的保证。

　　公共安全管理实务大全-公共安全是指多数人的生命、健康和公私财产的安全。本专题所指公共安全包含信息安全，食品安全，公共卫生安全，公众出行规律安全、避难者行为安全，人员疏散的场地安全、建筑安全、城市生命线安全，恶意和非恶意的人身安全和人员疏散等方面的理论研究、法律法规制度、防范公共安全预案与处置办法，逃生避险措施等。。。。。